Fail2Ban Action Yapılandırması
Fail2Ban, özellikle Linux tabanlı sunucularda brute-force saldırılarına karşı koruma sağlayan açık kaynaklı bir araçtır. Temel olarak, belirli başarısız giriş denemeleri tespit edilip, bu IP adreslerini engelleme veya başka önlemler alma yeteneğine sahiptir. Burada, Fail2Ban'in "action" parametresi kritik bir rol oynar; bu ayar, tespit edilen saldırganlara karşı ne tür müdahale yapılacağını belirler.
İlk olarak, Fail2Ban'in standard konfigürasyon dosyası olan
jail.conf veya
jail.local içinde "action" parametresi kullanılır. Varsayılan olarak, çoğu kurulumda, saldırgan IP'si iptables veya firewalld aracılığıyla engellenir. Ancak, bu davranışları özelleştirebilir veya farklı önlemler alacak şekilde yapılandırabilirsiniz.
İşte temel "action" yapılandırma örnekleri:
- iptables-multiport: Çoğu kurulumda kullanılan, belirli portlara karşı engelleme sağlar.
- iptables[name=HTTP, port=http, protocol=tcp]: HTTP trafiğine özel engelleme.
- sendmail-whois: saldırgan IP'sine otomatik olarak e-posta gönderir ve WHOIS sorgusu yapar.
- banip: IP adresini doğrudan bant genişliğinden kaldırır veya başka özelleştirilmiş komutlar çalıştırır.
- iptables-allports: Tüm portlara karşı engelleme yapar, daha agresif bir yaklaşım.
- dummy: Sadece deneme veya test amaçlı, gerçek engelleme yapmaz.
Ayrıca, kendi özel "action" tanımlarınızı da oluşturabilirsiniz. Bu, genellikle
action.d klasöründe yeni bir dosya oluşturarak yapılır. Burada, örneğin yeni bir e-posta bildirimi veya farklı firewall entegrasyonu gibi özel adımlar tanımlanabilir.
Sonuç olarak, Fail2Ban'in "action" yapılandırması saldırıya karşı yanıt verme stratejinizde esneklik sağlar. Güvenlik seviyenizi ve müdahale biçiminizi ihtiyaçlarınıza göre uyarlamak, hem saldırı tespitini hem de müdahale sürecini optimize eder.
Fail2Ban'in bu özelleştirme kapasitesi, sisteminizi sadece saldırılara karşı korumakla kalmaz, aynı zamanda olayların izlenebilirliğini ve yönetilebilirliğini de artırır.
